Chrome und Edge 156: 21 Sicherheitslücken geschlossen
Chrome 156.0.8078.79/.80 vom 29. Oktober 2026 behebt 21 Sicherheitslücken, darunter die kritische CVE-2026-76024 in MediaStream und 19 hoch eingestufte Fehler. Edge folgt mit 156.0.4314.56 und 156.0.4314.58. Eine Ausnutzung meldet Google nicht.
Google hat am 29. Oktober 2026 Chrome 156.0.8078.79/.80 für Windows und macOS sowie 156.0.8078.79 für Linux im Stable- und Extended-Stable-Kanal veröffentlicht. Das Update schließt 21 Sicherheitslücken, darunter die als kritisch eingestufte CVE-2026-76024 in MediaStream. Microsoft hat Edge am 29. Oktober auf 156.0.4314.56 und einen Tag später auf 156.0.4314.58 aktualisiert; beide Versionen enthalten laut Microsoft die aktuellen Sicherheitsupdates des Chromium-Projekts.
Betroffen sind alle Organisationen, die Chrome oder Edge auf Arbeitsplätzen einsetzen. Da der Browser täglich mit fremden Inhalten arbeitet, gehört das Update nicht ins nächste Wartungsfenster, sondern sollte zeitnah verteilt werden. Erst zwei Tage zuvor hatte Google mit 156.0.8078.73/.74 bereits 52 Lücken geschlossen.
Was ist passiert?
Die kritische Lücke CVE-2026-76024 ist eine Speicherbeschädigung in MediaStream, gemeldet von Xinyang Ge am 21. Oktober 2026. Laut NVD-Beschreibung konnte ein entfernter Angreifer über eine präparierte HTML-Seite möglicherweise Speicher innerhalb der Sandbox auslesen. Dazu kommen 19 Lücken mit hoher Einstufung, unter anderem CVE-2026-76025 bis CVE-2026-76031 sowie CVE-2026-119260 bis CVE-2026-119271. Betroffen sind Komponenten wie FileSystem, Autofill, CacheStorage, Network, Input, V8, Skia, Dawn, DOM und Blink. Eine Lücke mit mittlerer Einstufung (CVE-2026-119272, Out-of-bounds-Read in FileSystem) schließt die Liste ab. Mehrere Funde stammen von Google selbst.
Für Android hat Google ebenfalls am 29. Oktober Chrome 156.0.8078.79 freigegeben, das dieselben Sicherheitskorrekturen wie die Desktop-Version enthält. Microsoft nennt in den Edge-Sicherheitsnotizen noch keine CVE-Nummern und verweist darauf, dass diese nachgetragen werden.
Wer ist betroffen?
Betroffen sind Chrome-Installationen vor 156.0.8078.79 auf Windows, macOS und Linux sowie Chrome für Android. Bei Edge sind Stable-Versionen vor 156.0.4314.56 betroffen, wobei Microsoft am Folgetag 156.0.4314.58 nachgeschoben hat. Wer den Extended-Stable-Kanal nutzt, erhält dieselbe Version wie im Stable-Kanal.
Wie kritisch ist das?
Chromium stuft CVE-2026-76024 als kritisch ein, die NVD bewertet sie mit CVSS 3.1 mit 6.5 (mittel), da Benutzerinteraktion nötig ist und vor allem die Vertraulichkeit betroffen ist. Google meldet in den Versionshinweisen keine Ausnutzung in freier Wildbahn. Die CISA-Bewertung in der NVD führt mit Stand 30. Oktober keine Ausnutzung. Details zu den Fehlern hält Google wie üblich zurück, bis die Mehrheit der Nutzer aktualisiert hat.
Was sollten Admins jetzt tun?
- Inventar prüfen: Browserversionen per Softwareverteilung oder Endpoint-Management erfassen; einzeln über chrome://settings/help und edge://settings/help.
- Chrome auf mindestens 156.0.8078.79 und Edge auf 156.0.4314.58 bringen, auch auf Geräten mit Extended Stable.
- Gruppenrichtlinien oder Intune-Profile prüfen, ob Updates verzögert oder Versionen festgeschrieben sind, und Ausnahmen nur begründet zulassen.
- Nach der Verteilung Browser-Neustarts sicherstellen und anschließend prüfen, ob die neue Version tatsächlich läuft.
- Chrome auf verwalteten Android-Geräten über Google Play aktualisieren lassen.
Einordnung für Unternehmen
Zwei Chrome-Sicherheitsupdates innerhalb von zwei Tagen mit zusammen 73 geschlossenen Lücken zeigen, wie kurz die Zyklen geworden sind. Browser sollten deshalb wie Betriebssysteme behandelt werden: automatische Updates aktiv, kurze Fristen für den Neustart und regelmäßige Kontrolle der tatsächlich laufenden Versionen. Da Microsoft die Chromium-Korrekturen diesmal noch am selben Tag in Edge ausgeliefert hat, lohnt sich ein gemeinsamer Prozess für beide Browser.
Passende Anleitungen auf S-EDV
- Chrome 154: WebGL-Lücke CVE-2026-103628
- Browser-Erweiterung kapert KI-Assistenten in Chrome und Edge
